Viele Unternehmen mit verteilten Standorten setzen beim Aufbau ihrer IT-Infrastruktur auf MPLS-VPN, da es von den Internet-Providern als „sicheres Netzwerk“ angepriesen wird.
Dem ist nicht so.
MPLS (Multi Protocol Label Switching) wurde entwickelt, um die genutzten Bandbreiten in den Übertragungswegen der Provider besser zu bestimmen und es so dem Provider zu ermöglichen, seinen MPLS-Kunden Bandbreiten und Paketlaufzeiten zu garantieren.
Ein MPLS-VPN, wie es bei den Unternehmen mit verteilten Standorten eingesetzt wird, ermöglicht es dem Kunden, private (und im Internet nicht zu routenden) Adressen für die IP-Kommunikation zu verwenden (VPN (virtuelles privates Netzwerk)). Da die Daten in einem MPLS-VPN jedoch in seiner „normalen“ Ausführung nicht verschlüsselt werden (die Verschlüsselung muss explizit und kostenpflichtig hinzugebucht werden) sind die Daten, die das MPLS-VPN passieren, für potentielle Angreifer an jedem Netzknoten des Providers und an den Übertragungsstrecken abhörbar. Das „Privat“ im Begriff VPN bezieht sich hier nicht auf Verschlüsselung und Geheimhaltung sondern auf die verwendeten IP-Adressen.
Selbst wenn bei einem MPLS-VPN die Verschlüsselung hinzugebucht wurde, ist die Geheimhaltung nicht gewährleistet, da die Schlüssel mit auf den Übergangsroutern vom Kunden-LAN ins Provider-WAN liegen. Diese Router sind angreifbar, auf jeden Fall dann, wenn auch der normale Internet-Traffic über den Router abgewickelt wird.
Möchte ein Unternehmen eine sichere „interne“ Kommunikation zwischen Standorten verwirklichen, muss die Verschlüsselung zum einen in der Hand des Unternehmens und nicht beim Provider liegen, die IPSec-Router (für die Ver- und Entschlüsselung) müssen in einer vom Kunden gemanagten demilitarisierten Zone zwischen zwei Firewalls stehen und außerdem gegen physikalischen Zugriff geschützt werden. Auf welchen Übertragungswegen (MPLS oder Internet) die Pakete dann zum anderen Standort gelangen, ist zweitrangig.
Alles Andere ist unsicher.